El CISO (Chief Information Security Officer) es la persona responsable de la estrategia de seguridad de la información de una organización: define políticas, prioriza riesgos, gestiona al equipo de seguridad cuando existe, y —cada vez más— responde directamente ante la alta dirección o el directorio.
No es lo mismo que un área de TI tradicional. TI se encarga de que la tecnología funcione; el CISO se encarga de que funcione de forma segura, lo cual a veces implica tensiones directas: una medida de seguridad puede hacer un proceso más lento, y parte del trabajo del CISO es encontrar el balance entre proteger y no paralizar el negocio.
La demanda de este rol ha crecido en empresas medianas que antes lo consideraban innecesario, por varias razones a la vez: exigencias de clientes y socios comerciales, requisitos de aseguradoras para acceder a pólizas de ciberseguridad, y el simple hecho de que los incidentes ya no son un riesgo hipotético sino una posibilidad real con costos concretos.
En empresas que no pueden costear un CISO de tiempo completo, es cada vez más común contratar la función como servicio externo (a veces llamado vCISO o CISO virtual), al menos para definir la estrategia inicial.